PureRAT-skadevare: Hva ligger bak sofistikerte phishing-angrep

Hva er PureRAT og hvorfor skaper det overskrifter?

PureRAT er en trojaner for fjerntilgang (RAT) som har fått oppmerksomhet for å være i sentrum for en kraftig økning i phishing-angrep rettet mot russiske organisasjoner. Denne skadelige programvaren ble først observert tidlig i 2023, og holdt seg stille i bakgrunnen frem til tidlig i 2025.

Selv om gjerningsmennenes identitet fortsatt er ukjent, er angrepsmetoden altfor kjent: en phishing-e-post ankommer som inneholder enten et RAR-arkiv eller en lenke til et, smart forkledd for å se ut som et harmløst Microsoft Word- eller PDF-dokument . Disse villedende filnavnene bruker ofte doble filendelser (f.eks. .pdf.rar) for å lure brukere til å åpne dem, i den tro at de samhandler med en vanlig filtype.

Hvordan angrepet utfolder seg: En lagdelt leveringsmetode

Når arkivet er åpnet, inneholder det en kjørbar fil. Når offeret kjører den, installerer skadevaren seg stille på Windows-systemet og kopierer seg selv til AppData-mappen under navnet «task.exe». Derfra slipper den et Visual Basic-skript i systemets oppstartsmappe for å sikre at det kjører hver gang maskinen startes på nytt.

Denne første nyttelasten pakker ut enda en fil kalt «ckcfb.exe», som bruker et legitimt Windows-verktøy, InstallUtil.exe, til å injisere neste trinn av skadevaren. På dette tidspunktet dekrypteres og kjøres en nøkkelfil kalt «Spydgozoi.dll», noe som åpner den viktigste bakdøren til PureRAT.

Muligheter utover enkel overvåking

PureRAT er ikke bare en bakdør – det er et multifunksjonelt spionasjeverktøy. Det oppretter umiddelbart en sikker SSL-forbindelse med sin kommando-og-kontroll-server (C2). Det sender systemdetaljer tilbake til angriperen, for eksempel antivirusprogramvare i bruk, datamaskinnavn og oppetid. Når forbindelsen er aktiv, kan skadevaren laste ned og aktivere ulike moduler for å utvide funksjonaliteten.

Disse modulene inkluderer:

• PluginPcOption : Lar skadelig programvare slette seg selv, starte driften på nytt eller tvinge frem en avslutning/omstart av systemet.
• PluginWindowNotify : Overvåker åpne vinduer for nøkkelord som «passord» eller «bank», noe som potensielt muliggjør overvåking eller omdirigering i sanntid.
• PluginClipper : Fungerer som en utklippstavlskapskaprer, og erstatter enhver kopiert kryptovaluta-lommebokadresse med en kontrollert av angriperen.

Mer enn bare en ROTTE: Gå inn i PureCrypter og PureLogs

Kompleksiteten stopper ikke med PureRAT. Den første kjørbare filen distribuerer også en annen komponent kalt «StilKrip.exe». Dette er ikke skadelig programvare utviklet fra bunnen av, men et kommersielt tilgjengelig nedlastingsprogram kalt PureCrypter , aktivt siden 2022 og ofte brukt i kriminelle kampanjer for å slippe ytterligere trusler.

PureCrypter henter og kjører en fil kjent som «Bghwwhmlr.wav», som fortsetter kjeden ved å kalle InstallUtil.exe igjen. Til slutt fører dette til kjøringen av en fil kalt «Ttcxxewxtly.exe», som trekker ut en siste nyttelast: PureLogs-stealeren.

PureLogs er et omfattende informasjonsinnsamlingsverktøy som skanner nettlesere og e-postklienter, VPN-apper, passordbehandlere og kryptovaluta-lommebøker. Det kan til og med samle inn påloggingsinformasjon fra FTP-klienter som FileZilla og WinSCP.

Implikasjoner for organisasjoner og cyberforsvar

Det som skiller PureRAT fra andre er den modulære strukturen og den stillegående utholdenheten. Det er ikke bare en infeksjon – det er en plattform som gir angripere nesten full kontroll over et kompromittert system. Fra å overvåke tastetrykk og kontrollere webkameraer til stille datautvinning, muliggjør skadevaren et bredt spekter av cyberspionasjeaktiviteter.

For bedrifter, spesielt de i sektorer som håndterer sensitive data, betyr dette økt risiko ikke bare for datatyveri, men også for potensielle driftsforstyrrelser. Et kompromittert system kan forbli under radaren i uker eller måneder, slik at angripere jevnt og trutt kan tilegne seg verdifull informasjon.

Forsvar mot den usynlige inntrengeren

Det primære inngangspunktet for PureRAT er fortsatt phishing-e-poster. Dette understreker det kritiske behovet for robuste e-postsikkerhetsprotokoller, brukeropplæring og løsninger for endepunktbeskyttelse. Organisasjoner bør fokusere på å overvåke uvanlig aktivitet, implementere flerfaktorautentisering og holde systemer og programvare oppdatert.

Nettsikkerhetseksperter anbefaler også å bruke sandboksing i e-postvedlegg og implementere atferdsdeteksjonsteknikker som kan fange opp skadelig programvare, selv når den bruker legitime systemverktøy som InstallUtil.exe for å skjule sporene sine.

En vekker, ikke en grunn til panikk

Fremveksten av PureRAT og tilhørende komponenter som PureCrypter og PureLogs signaliserer en utvikling innen skadevaretaktikker – en som blander sosial manipulering, legitime verktøy og standardkomponenter til en potent trussel. Med bevissthet, forberedelse og riktig sikkerhetsholdning kan imidlertid organisasjoner effektivt beskytte seg mot disse komplekse truslene. Målet er ikke å skape frykt, men å oppmuntre til årvåkenhet og informert handling i møte med stadig mer sofistikerte cyberkampanjer.